CER-direktiivi – Opas yhteiskunnan kannalta tärkeille toiminnoille

CER-direktiivi (Critical Entities Resilience Directive) on uusi EU-lainsäädäntö, jonka tarkoituksena on vahvistaa yhteiskunnan kriisivalmiutta. Se koskee yhteiskunnan kannalta kriittisiä toimintoja – sekä julkisia että yksityisiä – jotka tuottavat tärkeitä palveluja.

Tässä saat yleiskuvan siitä, mitä direktiivi tarkoittaa, miksi se on annettu ja mitä sinun päätöksentekijänä on syytä tietää ja tehdä.

Heikki Syrjäpalo
Play

Mikä on CER-direktiivi?

EU:n Critical Entities Resilience Directive vahvistaa kriittisten toimijoiden kestävyyttä.

Direktiivi hyväksyttiin joulukuussa 2022 ja sen tavoitteena on varmistaa yhteiskunnan kriittisten toimintojen jatkuvuus häiriötilanteissa.

Konkreettisesti direktiivi vaatii, että tärkeät toiminnot – esimerkiksi terveydenhuolto, energia, liikenne, viestintä ja elintarvikkeiden toimitus – toimivat myös kriisitilanteissa, kuten sähkökatkoksissa, luonnonkatastrofeissa tai sabotaasissa. Ruotsissa direktiivin täytäntöönpano tapahtuu uuden lain (kriittisten toimijoiden kestävyyttä koskeva laki) avulla, joka tulee voimaan vuonna 2026.

Miksi direktiivi on annettu?

Taustalla on kasvava tarve vahvistaa yhteiskunnan varautumista. Aiemmat EU:n säännöt kriittisestä infrastruktuurista olivat rajalliset – ne koskivat vain energia- ja liikennesektoria – ja niiden soveltaminen vaihteli maittain.

Samaan aikaan pandemioiden, äärimmäisten sääilmiöiden ja sabotaasin kaltaiset tapahtumat ovat tuoneet esiin haavoittuvuuksia.

CER-direktiivi luotiin kokonaisvaltaisen lähestymistavan toteuttamiseksi: se kattaa useampia aloja ja siinä otetaan käyttöön ”kaikkien uhkien” näkökulma, jossa huomioidaan kaikki riskityypit (sekä fyysiset että digitaaliset). Direktiivi on myös NIS2-direktiivin (kyberturvallisuusdirektiivi) sisardirektiivi, mutta se keskittyy erityisesti tärkeiden toimintojen fyysiseen kestävyyteen. Tavoitteena on, että tärkeät yhteiskuntapalvelut toimivat edelleen ja palautuvat nopeasti, riippumatta siitä, johtuuko kriisi luonnonilmiöistä vai vihamielisistä uhkista.

Mitkä toiminnot kuuluvat tämän piiriin?

Direktiivi kattaa toimintoja yhdellätoista kriittisellä alalla. Kyseessä ovat seuraavat yhteiskunnan kannalta tärkeät alat:

  • Terveydenhuolto

    Sairaalat, terveyskeskukset, vanhainkodit ja yksityiset hoidon tarjoajat – toiminnot, joissa häiriöt vaikuttavat nopeasti ihmisten terveyteen ja turvallisuuteen.

  • Energia

    Energia

    Elproduktion, elnät, fjärrvärme och andra energirelaterade verksamheter med höga krav på kontinuitet och tillgänglighet.

  • Kuljetus

    Julkinen liikenne, satamat, lentokentät, logistiikka ja muu liikenneinfrastruktuuri, josta yhteiskunta on riippuvainen jokapäiväisessä elämässään.

  • Pankki- ja rahoitusala

    Pankit, maksupalvelut ja rahoitusinfrastruktuuri, joissa saatavuus ja luottamus ovat ratkaisevia tekijöitä – myös häiriötilanteissa.

  • Digitaalinen infrastruktuuri

    Tietokeskukset, viestintäverkot, pilvipalvelut ja muut digitaaliset toiminnot, jotka muodostavat nyky-yhteiskunnan perustan.

  • Vesi ja viemäröinti

    Juomaveden toimitus, jäteveden puhdistus ja vesi- ja viemäröintitoiminta, joissa keskeytykset aiheuttavat nopeasti suuria seurauksia.

  • Julkishallinto

    Kunnat, alueet ja viranomaiset, jotka vastaavat yhteiskunnan kannalta tärkeistä palveluista ja koordinoinnista kriisi- ja häiriötilanteissa.

  • Elintarvikkeiden saanti

    Elintarvikkeiden tuotanto, varastointi, jakelu ja kauppa – tukkukauppiaista päivittäistavarakauppaan.

  • Muut toiminnot

    Muut toimijat, joilla on yhteiskunnallisesti tärkeitä tehtäviä ja erityisiä vaatimuksia kestävyydelle, jatkuvuudelle ja valmiudelle.

Kaikki edellä mainitut sektorit katsotaan yhteiskunnan toiminnalle kriittisiksi. Huomautus: Kansalliset viranomaiset määrittelevät virallisesti, mitkä toimijat kuuluvat sääntöjen piiriin. Nimetyiksi ”kriittisiksi toimijoiksi” katsotaan organisaatiot (yritykset, viranomaiset jne.), joilla on keskeinen merkitys yhteiskunnalle maantieteellisen kattavuuden, käyttäjämäärän ja toiminnan keskeytyksen seurausten perusteella.

Esimerkiksi kunnallinen juomaveden toimittaja tai suuri sairaala voidaan nimetä kriittisiksi, kun taas pienempi toimija samalla alalla voi jäädä ulkopuolelle.

Sekä julkiset että yksityiset toimijat voivat kuulua piiriin, jos niiden palvelut ovat yhteiskunnan kannalta tärkeitä.

Käytännön vaatimukset

CER-direktiivin piiriin kuuluville toiminnoille tämä tarkoittaa konkreettisia toimenpiteitä organisaation, riskienhallinnan ja varautumisen osalta. Yhteenvetona voidaan todeta, että nimetty kriittinen toiminto tarvitsee tehdä seuraavat asiat:

Suorita säännöllisiä riskinarviointeja kaikista merkityksellisistä uhkista – luonnollisista ja ihmisen aiheuttamista – jotka voivat johtaa keskeytyksiin. On tunnistettava heikkoudet kaikesta fyysisistä laitoksista toimitusketjuihin. Riskianalyysi on päivitettävä vähintään neljän vuoden välein tai tarpeen mukaan uusien uhkien havaitsemiseksi.

Toteuta tarvittavat tekniset, fyysiset ja organisatoriset toimenpiteet kestävyyden vahvistamiseksi. Kyseessä voi olla fyysinen turvallisuus (pääsyoikeuksien valvonta, aidat, vartiointi), kriittisten järjestelmien ja huoltolinjojen redundanssi sekä vankka varavoima. Toiminnan on voitava ylläpitää toimintaansa vähintään 14 päivän ajan myös pitkäaikaisen sähkökatkoksen aikana – tämä edellyttää varavoiman, polttoaineen, viestintämahdollisuuksien ja vastaavien varajärjestelmien saatavuutta.

Ottaa käyttöön menettelyt vakavien häiriöiden havaitsemiseksi ja ilmoittamiseksi. Jos tapahtuu tapahtuma, joka vaikuttaa merkittävästi yhteiskunnan kannalta tärkeän palvelun toimittamiseen, toiminnan harjoittajan on ilmoitettava asiasta valvontaviranomaiselle mahdollisimman pian. Direktiivissä määrätään, että ilmoitus on tehtävä ”ilman tarpeetonta viivytystä ja viimeistään 24 tunnin kuluessa” tapahtuman havaitsemisesta. Kun tilanne on vakiintunut, vaaditaan usein seurantaraportti, jossa esitetään yksityiskohdat ja toteutetut toimenpiteet.

Laadi valmiussuunnitelmat toiminnan ylläpitämiseksi kriisitilanteissa ja sen palauttamiseksi kriisin jälkeen. Suunnitelmissa (joita usein kutsutaan jatkuvuussuunnitelmiksi) on kuvattava selkeästi, miten kriittiset toiminnot pidetään käynnissä erilaisissa tilanteissa – esimerkiksi vaihtoehtoiset logistiikkaratkaisut, jos kuljetukset keskeytyvät, työtehtävien priorisointi henkilöstöpulan sattuessa, manuaaliset rutiinit, jos IT-järjestelmät ovat poissa käytöstä – sekä miten normaali toiminta palautetaan. On suoritettava harjoituksia ja testejä, jotta voidaan varmistaa, että suunnitelmat toimivat käytännössä.

Selvitä vastuualueet ja nimetä kriisinhallinnan avainhenkilöt. Nimitetään yhteyshenkilö (koordinaattori), joka toimii yhteyshenkilönä viranomaisiin. Toiminnan on myös varmistettava henkilöstön luotettavuus ja pätevyys – esimerkiksi tekemällä taustatarkastuksia herkissä tehtävissä oleville henkilöille (esim. turvallisuusvastaaville) ja kouluttamalla koko henkilöstö kriisivalmiuteen. On tärkeää panostaa työntekijöiden koulutukseen ja harjoitteluun, jotta kaikki tietävät, miten toimia pahimmassa tapauksessa.

Yhteenvetona voidaan todeta, että CER-direktiivi edellyttää järjestelmällistä työtä turvallisuuden ja varautumisen parissa. Se täydentää ja yhdistää olemassa olevat säännökset esimerkiksi turvallisuussuojan ja kyberturvallisuuden alalla, jotta koko EU:ssa olisi yhteinen vähimmäistaso yhteiskunnan turvallisuudelle. Kriittisen toiminnan johtaja tarvitsee siis tarkastella sekä fyysistä kestävyyttä (varmuuskopiointijärjestelmät, tilojen suojaus, redundanssi) että pehmeitä osia (suunnitelmat, rutiinit, vastuut, osaaminen) vaatimusten täyttämiseksi.

Mitä uutta on verrattuna aikaisempaan sääntelyyn?

CER-direktiivi merkitsee huomattavasti laajennettua ja tiukennettua sääntelyä aiempaan verrattuna. Vanha EU:n lainsäädäntö kriittisen infrastruktuurin suojelusta vuodelta 2008 kattoi vain kaksi sektoria (energia ja liikenne) ja antoi jäsenvaltioille paljon liikkumavaraa, mikä johti epätasaiseen soveltamiseen. Uusi direktiivi korvaa tämän ja kattaa 11 alaa, joilla on tärkeitä yhteiskunnallisia palveluja.

Uutta on myös se, että vaatimukset ovat yksityiskohtaisempia ja yhdenmukaisempia – kaikkien nimettyjen toimijoiden on suoritettava riskianalyysejä, laadittava valmiussuunnitelmia ja otettava käyttöön turvallisuustoimenpiteitä yhteisten standardien mukaisesti, mitä ei aiemmin nimenomaisesti vaadittu.

Toinen uutuus on pakollinen 24 tunnin sisällä tapahtuva vaaratilanteiden raportointi, jota ei ollut vanhoissa fyysisen infrastruktuurin säännöissä.

Lisäksi otetaan käyttöön selkeämpi valvonta ja sanktiot (mukaan lukien tuntuvat sakot), jos vaatimuksia ei noudateta.

Yhteenvetona voidaan todeta, että CER-direktiivi nostaa tavoitteiden tasoa – pelkästä kriittisten infrastruktuurien tunnistamisesta niiden varmistamiseen, että ne ovat todella hyvin suojattuja kaikenlaisia uhkia vastaan.

Mitä tapahtuu, jos vaatimuksia ei noudateta?

Jos organisaatio ei noudata CER-direktiiviä, se voi joutua valvontatoimenpiteiden ja pahimmassa tapauksessa seuraamusten kohteeksi.

Jokaisella asianomaisella alalla on vastuullinen valvontaviranomainen (esim. terveydenhuoltoalalla Terveydenhuollon valvontavirasto, juomaveden alalla Elintarvikevirasto jne.), jolla on valtuudet tarkastaa, miten toiminta täyttää vaatimukset.

Valvontaviranomainen voi vaatia parannuksia ja suorittaa tarkastuksia tai testejä (esim. varmuuskopiointijärjestelmän tarkastus).

Jos havaitaan vakavia puutteita – esimerkiksi, että vaadittua riskianalyysiä ei ole tehty tai toimivaa varavirtalähdettä ei ole – viranomainen voi määrätä seuraamusmaksuja (hallinnollisia sakkoja). Ruotsissa ehdotetaan, että nämä maksut olisivat merkittäviä, jotta niillä olisi varoittava vaikutus. Toiminta voi myös vahingoittaa yrityksen mainetta, jos se ei täytä lakisääteisiä vaatimuksia, etenkin jos puutteet johtavat todellisiin toimintahäiriöihin.

Lyhyesti sanottuna: sääntöjen noudattaminen ei ole vapaaehtoista – sitä odotetaan ja sitä valvotaan säännöllisen raportoinnin ja tarkastusten avulla.

Milloin säännöt tulevat voimaan?

16. tammikuuta 2023: EU-direktiivi tulee voimaan

CER-direktiivi tuli virallisesti voimaan EU:n tasolla. Jäsenvaltioilla oli aikaa 17. lokakuuta 2024 asti ottaa käyttöön tarvittavat kansalliset säännöt.

Kevät 2026: Ruotsin laki tulee voimaan

Silloin ehdotetaan, että uusi laki kriittisten toimijoiden kestävyydestä tulisi voimaan Ruotsissa. Siitä lähtien vastuulliset viranomaiset voivat alkaa nimetä, mitkä organisaatiot kuuluvat lain piiriin.

Vuonna 2026: Tunnistaminen

Kun laki on voimaan astunut, tehdään paljon työtä kriittisten toimintojen tunnistamiseksi näissä yksitoista sektorissa. Jokaiselle nimetylle toimijalle ilmoitetaan asiasta virallisesti.

Tunnistamisen jälkeen toimijalla on rajoitettu määräaika (noin 9–10 kuukautta) vaatimusten täyttämiseen.

Käytännössä tämä tarkoittaa, että vuoden 2026 aikana useimpien asianomaisten on suoritettava haavoittuvuusanalyysit, laadittava suunnitelmat ja toteutettava toimenpiteet.

Viimeistään vuonna 2027: Täydellinen noudattaminen

Vuosi 2027 on suunniteltu käyttöönoton päättymisajankohdaksi. Siihen mennessä kaikkien vaatimusten on oltava täytettyjä ja jokaisen kriittisen toiminnan on raportoitava CER-tilansa valvontaviranomaisille. Tästä

vuodesta lähtien sääntöjen noudattamatta jättämisestä voi seurata sanktioita, mikä luo selkeän kannustimen saada asiat valmiiksi ajoissa.

Huomaa, että yllä oleva aikataulu koskee Ruotsin täytäntöönpanoa. Muissa EU-maissa voi olla samanlaisia aikatauluja kansallisten lakien osalta. Johtajalle tämä tarkoittaa, että vuosi 2026 tulee olemaan intensiivinen vuosi organisaation valmistelemiseksi vaatimusten täyttämiseksi.

Esimerkki: Näin eri toiminnot voivat vaikuttaa

Konkreettisempia esimerkkejä siitä, mitä CER-direktiivi voi käytännössä tarkoittaa erilaisille yhteiskunnan kannalta kriittisille toiminnoille, ovat seuraavat:

Kunnat ovat usein vastuussa juomavedestä, viemäröinnistä ja paikallisesta infrastruktuurista. CER:n mukaan kunnalla, jolla on oma vesilaitos, on huolehdittava siitä, että vesihuolto toimii myös pitkäkestoisen sähkökatkoksen aikana – esimerkiksi varavoimageneraattoreilla, jotka voivat käyttää pumppuja ja puhdistuslaitoksia vähintään kahden viikon ajan.

Kunnan on myös oltava suunnitelmat siitä, miten se pitää yllä peruspalveluja, kuten vanhustenhoitoa, kansalaisille suunnattua tiedotusta ja pelastuspalvelua kriisitilanteissa.

Julkinen hallinto on kriittinen sektori, joten kunnan johdon on nimettävä vastuuhenkilöt valmiustilanteita varten ja tehtävä yhteistyötä lääninhallituksen/MSB:n kanssa, jos kriisi kärjistyy.

Sairaalat, terveyskeskukset ja hoivakodit ovat kriittisiä väestön hyvinvoinnin kannalta. Direktiivin mukaan sairaalaa ylläpitävän alueen tai yksityisen terveydenhuollon tarjoajan on oltava laatimassa terveydenhuollon jatkuvuussuunnitelmia – miten varmistetaan elintoimintojen ylläpito, jos sähköt katkeavat tai tietojärjestelmät kaatuvat? Ratkaisuja voivat olla tehokkaat UPS-laitteet ja generaattorit sähköä varten, ylimääräiset lääke- ja tarvikkeiden varastot sekä selkeät protokollat henkilöstölle kriisitilanteissa.

Henkilöstökysymys on keskeinen terveydenhuollossa: CER vaatii, että vaikka monet työntekijät itse kärsivät kriisistä (esim. pandemioista), on oltava valmiudet siirtää resursseja tai kutsua lisähenkilöstöä. Katastrofien varalle harjoittelu on tärkeä osa työtä.

Esimerkki: Suuren sairaalan on pystyttävä toimimaan varavoimalla pitkäkestoisen sähkökatkoksen aikana, ja sillä on oltava manuaaliset rutiinit potilastietojärjestelmää varten, jos verkko on poissa käytöstä.

Kuljetus ja logistiikka on toinen kategoria, jossa keskeytykset vaikuttavat nopeasti koko yhteiskuntaan. Rautateitä, joukkoliikennettä, satamia tai lentokenttiä ylläpitävät yritykset tullaan nimeämään kriittisiksi. Niiden on huolehdittava sekä fyysisestä suojauksesta (esim. varmistettava, että merkinantojärjestelmät, vaihteistot ja liikenteenohjauskeskukset on suojattu tunkeutumiselta ja sabotaasilta) että redundanssista (vaihtoehtoiset viestintäyhteydet, varajunat, ylimääräinen henkilöstö valmiudessa).

Suuri satama tai lentokenttä tarvitsee suunnitelmat jonojen ja reittimuutosten hallitsemiseksi, jos osa infrastruktuurista menee epäkuntoon. Myös tapahtumien raportointi on tässä tärkeää – esimerkiksi jos kyberhyökkäys tai tulipalo vaikuttaa junaliikenteeseen, siitä on raportoitava 24 tunnin kuluessa CER:n mukaan.

Esimerkki: Alueellinen joukkoliikenneyritys voi joutua koordinoimaan sähköverkkoyhtiöiden kanssa rautatieliikenteen sähkönsyötön turvaamiseksi ja varautumaan järjestelmähäiriöiden varalle matkustajien kanssa viestintään tarvittaviin hätäratkaisuihin.

Energiasektori (sähkö, kaasu, kaukolämpö) ja vesihuoltopalvelut ovat muiden yhteiskunnallisten toimintojen selkäranka. CER:n mukaan näiden alojen yrityksiltä odotetaan erittäin suurta kestävyyttä. Tämä tarkoittaa muun muassa, että sähköyhtiöiden on kyettävä ylläpitämään osaa sähköverkosta saarekekäytössä kansallisten sähkökatkosten aikana, suojautumaan fyysisiltä hyökkäyksiltä sähköasemille ja ylläpitämään redundantteja ohjausjärjestelmiä.

Vesiyhtiöiden on varmistettava, että puhdasta vettä jaetaan edelleen, vaikka tavanomainen sähkö tai IT-järjestelmät eivät toimisi – esimerkiksi mobiiligeneraattoreiden ja manuaalisten ohitusratkaisujen avulla.

Esimerkki: Sähköverkkoyhtiö voi joutua investoimaan blackstart-kapasiteettiin (kyky käynnistää sähköverkko ilman ulkoista virtalähdettä) ja varmistamaan, että tärkeillä muuntajalla on sekä fyysinen suojaus että kameravalvonta. Kunnallinen vesilaitos voi varavirtalähteiden lisäksi hankkia hätävarastot vedenkäsittelyyn tarvittavia kemikaaleja ja laatia menettelytavat veden jakelua varten, jos tavanomainen järjestelmä vahingoittuu.

Nämä esimerkit osoittavat, että vaatimukset vaihtelevat hieman eri aloilla, mutta perusperiaate on sama: jokaisella kriittisellä toimijalla on oltava suunnitelma B, C ja D, jotta se voi tarjota yhteiskunnallisesti tärkeitä palveluita vaikeissa olosuhteissa.

Jos sähkö, vesi, terveydenhuolto, liikenne, elintarvikkeet jne. pysähtyvät, koko yhteiskunta kärsii – siksi on ratkaisevan tärkeää rakentaa sietokykyä. Se tarkoittaa investointeja oikeaan laitteistoon, selkeisiin menettelytapoihin ja henkilöstön koulutukseen.

Aloita hyvissä ajoin!

CER-direktiivin vaatimusten täyttäminen ei tapahdu yhdessä yössä. Kokemukset vastaavista säännöksistä osoittavat, että uuden kapasiteetin rakentaminen, analyysien tekeminen, henkilöstön kouluttaminen ja mahdollisesti laitteiden hankkiminen vievät aikaa.

Älä odota, että sinut nimetään virallisesti kriittiseksi toimijaksi, vaan aloita työ etukäteen.

Aloita kartoittamalla nykyinen valmiutesi ja tunnistamalla puutteet uusien vaatimusten suhteen. Laadi toimintasuunnitelma ja varmista budjetti ja resurssit tulevien vuosien työtä varten. EU-direktiivi antaa tietyn aikavälin, mutta asiantuntijat suosittelevat, että riskialttiit organisaatiot ”aloittavat valmistautumisen pian”.

Aloittamalla ajoissa vähennät stressiä määräajan lähestyessä ja – mikä tärkeintä – parannat organisaatiosi kestävyyttä jo nyt. Näin ollen olet turvallinen ja valmis, kun seuraava kriisi iskee.

Kehotus sinulle johtajana: Ota vastuu CER-valmisteluista

Perusta työryhmä, ota mukaan oikeat osastot (turvallisuus, IT, operatiivinen toiminta, HR jne.) ja aloita parannusten toteuttaminen vaiheittain. Mitä aikaisemmin toimit, sitä paremmin olet varustautunut selviytymään tulevista haasteista ja täyttämään lain vaatimukset

.Kestävyyden rakentaminen on investointi turvallisuuteen – sekä organisaation että koko yhteiskunnan kannalta.